Accord de sous-traitance des données à caractère personnel

Parties

L'Éditeur, sous-traitant : TRASH SCORE, SAS au capital de 10 000 €, RCS Lille Métropole 989 493 028, 7 sentier du Curé, 59260 Lille, qui édite le Service « Trash View by Trash Score », représentée par son Président, Louis Lenain. Point de contact pour la protection des données : contact@trash-score.com.

Le Client, responsable de traitement : la personne morale ou le professionnel qui accepte les CGU, identifié lors de son inscription et au Contrat de service. Son point de contact est l'administrateur de son organisation sur la plateforme, à défaut la personne ayant accepté les CGU.

Les termes employés avec une majuscule ont le sens que leur donnent les CGU.

1. Objet et rôle des Parties

Le présent accord encadre, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »), les traitements de données à caractère personnel que l'Éditeur réalise pour le compte et sur instruction du Client dans le cadre du Service. Le Client est responsable de traitement ; l'Éditeur est sous-traitant.

Sont hors du champ du présent accord les traitements que l'Éditeur met en œuvre pour son propre compte, en qualité de responsable de traitement (CGU, article 9.12) : comptes des Utilisateurs, authentification, sécurité et journaux, demandes d'inscription, commandes, facturation et paiement, messages de service. Ils sont décrits par la politique de confidentialité.

2. Description du traitement

3. Instructions documentées (art. 28.3.a)

L'Éditeur traite les données uniquement sur instruction documentée du Client, y compris pour les transferts, sauf obligation imposée par le droit de l'Union ou d'un État membre ; il en informe alors le Client avant le traitement, sauf interdiction légale. Les instructions du Client résultent du présent accord, des CGU, du Contrat de service et de l'usage qu'il fait des fonctions du Service. L'Éditeur informe immédiatement le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

4. Confidentialité (art. 28.3.b)

L'Éditeur veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès est réservé au personnel qui en a besoin (support, audit) ; les entrées du personnel de l'Éditeur dans l'espace d'un Client et les modifications apportées aux données sont journalisées.

5. Sécurité (art. 28.3.c et art. 32)

L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :

• Hébergement : OVHcloud, serveur situé en France ; copie chiffrée des sauvegardes sur le stockage objet d'OVHcloud, dans l'Union européenne, avec une clé détenue par l'Éditeur seul.
• Chiffrement des échanges : HTTPS (TLS) systématique.
• Cloisonnement : isolation des données par société cliente ; contrôle d'accès par rôle et par périmètre de sites ; base de données et moteur d'IA non exposés à l'extérieur.
• Authentification : mots de passe hachés ; double authentification (TOTP) obligatoire pour le personnel de l'Éditeur, activable par chaque Utilisateur et imposable par l'administrateur du Client ; activation des comptes par lien à usage unique, sans envoi de mot de passe ; durée des sessions bornée.
• Chiffrement au repos des secrets : jetons d'accès aux services tiers et secrets de double authentification chiffrés (AES-256-GCM).
• Intégrité et traçabilité : empreinte SHA-256 des fichiers déposés ; journal d'audit horodaté et cloisonné par société, dont l'extrait relatif au Client lui est remis sur demande écrite ; données de connexion des journaux purgées au-delà de 12 mois.
• Intelligence artificielle locale : la lecture des pièces s'exécute sur l'infrastructure de l'Éditeur, sans transmission à un service d'IA tiers.
• Disponibilité : redémarrage automatique des services ; sauvegardes chiffrées quotidiennes conservées 30 jours sur le serveur et 90 jours hors site ; test de restauration automatique hebdomadaire. À la date du présent accord, aucune alerte n'est émise automatiquement hors du serveur : un incident est détecté à la consultation des voyants d'exploitation de l'Éditeur.

Ces mesures sont réévaluées à chaque évolution significative du Service. L'Éditeur ne les réduit pas en deçà du niveau décrit ci-dessus.

6. Sous-traitants ultérieurs (art. 28.2, 28.3.d et 28.4)

Le Client donne à l'Éditeur une autorisation écrite générale de recourir à des sous-traitants ultérieurs. L'Éditeur informe le Client par écrit de tout ajout ou remplacement envisagé, au moins trente (30) jours à l'avance ; le Client peut s'y opposer par écrit, de manière motivée, pendant ce délai. À défaut d'accord, le Client peut résilier le Service avant l'entrée en vigueur du changement. L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord et demeure pleinement responsable envers le Client de leur exécution.

Sous-traitants ultérieurs au 29 octobre 2026 :

L'acheminement automatique des e-mails de service (SMTP d'OVHcloud, ou Brevo) est envisagé mais non activé à cette date ; il ne le sera qu'après l'information prévue ci-dessus. Les téléservices publics sollicités à l'initiative du Client (Trackdéchets, annuaire des entreprises) ne sont pas des sous-traitants de l'Éditeur.

Le prestataire de paiement et, à compter de son raccordement, la plateforme de facturation électronique ne sont pas des sous-traitants ultérieurs au sens du présent accord : ils traitent les seules données de facturation et de paiement, dont l'Éditeur est responsable de traitement, pour son compte ou en qualité de responsables distincts pour leurs obligations propres (lutte contre la fraude et contre le blanchiment), et ne reçoivent aucune Donnée Client au sens de l'article 1 des CGU. Leur identité et leur rôle figurent dans la politique de confidentialité.

7. Droits des personnes concernées (art. 28.3.e)

L'Éditeur aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Le Service permet notamment de corriger les enregistrements, d'effacer définitivement une pièce déposée qui ne justifie aucun enlèvement du registre et d'exporter le registre des déchets.

Lorsqu'une personne adresse directement à l'Éditeur une demande portant sur des données traitées pour le compte du Client, l'Éditeur la transmet au Client sans délai et n'y répond pas lui-même, sauf instruction du Client. Les demandes portant sur les comptes des Utilisateurs relèvent de l'Éditeur, responsable de ce traitement.

8. Violations de données et assistance (art. 28.3.f, art. 32 à 36)

L'Éditeur notifie au Client toute violation de données à caractère personnel affectant les données traitées pour son compte dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance (art. 33.2), par écrit à son point de contact. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées ; les informations non disponibles sont communiquées dès que possible. Il appartient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées (art. 33 et 34) ; l'Éditeur ne le fait pas à sa place.

L'Éditeur aide en outre le Client, compte tenu des informations à sa disposition, à garantir la sécurité du traitement (art. 32), à réaliser une analyse d'impact (art. 35) et, le cas échéant, à consulter l'autorité de contrôle (art. 36).

9. Information et audits (art. 28.3.h)

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations (description des mesures de sécurité, liste des sous-traitants ultérieurs, extrait du journal d'audit relatif à ses données, remis sur demande écrite) et permet la réalisation d'audits, y compris d'inspections, par le Client ou un auditeur qu'il mandate. Sauf violation de données ou demande d'une autorité de contrôle : l'audit est notifié par écrit au moins trente (30) jours à l'avance, au plus une fois par période de douze (12) mois ; il porte sur les seuls traitements réalisés pour le Client, sans accès aux données des autres clients ; l'auditeur est tenu à la confidentialité et n'est pas un concurrent de l'Éditeur ; ses frais sont à la charge du Client.

10. Fin du contrat (art. 28.3.g)

Pendant le contrat et les 90 jours qui suivent sa date d'effet (période de récupération, CGU article 9.8), le Client exporte lui-même, sans frais, l'intégralité de ses données (CGU article 9.6). Jusqu'au terme de cette période, il peut effacer lui-même, depuis la page Documents, les pièces qui ne justifient aucun enlèvement du registre.

Dans les 30 jours qui suivent la fin de la période de récupération, l'Éditeur anonymise les comptes des Utilisateurs du Client, efface les textes libres (observations, notes) et les coordonnées nominatives des contacts des prestataires. Pour le reste, il applique le choix que le Client exprime dans les conditions de l'article 9.9 des CGU : (a) à défaut de choix, il conserve, pendant 5 ans à compter de la fin du contrat, sans plus aucun accès des Utilisateurs, les données exportables — notamment le registre des déchets et les pièces qui justifient ses enlèvements, afin de permettre au Client de satisfaire à ses propres obligations de conservation (art. R541-43 et R541-45 du Code de l'environnement) —, l'archive complète restant remise au Client sur demande écrite, puis les efface comme au point (b) ; (b) sur instruction du Client, il les efface intégralement, à l'exception des seules pièces qu'il conserve comme responsable de traitement : l'identité de la société (raison sociale, forme juridique, adresse), les commandes, factures, avoirs, paiements, remboursements, les références du compte de facturation chez le prestataire de paiement et les attestations d'effectif, les preuves de l'acceptation des conditions, de la résiliation et du choix du sort des données (dates et versions, les comptes étant anonymisés) et les Certifications Trash Score délivrées (date, périmètre, résultat et validité), avec le rapport d'audit que chacune cite, tel qu'il a été émis. Ce délai peut être dépassé lorsque des données du Client sont partagées avec une autre société de son groupe qui utilise le Service (prestataires, zones, exutoires, organisation, accès aux sites, pièces ou audits en commun) : l'effacement est alors suspendu, et l'Éditeur alerté, le temps de les en détacher. Une attestation de fin de contrat, limitée à des identifiants et à des nombres d'éléments, est remise au Client. Les données effacées subsistent au plus 90 jours dans les sauvegardes chiffrées avant d'en disparaître.

11. Transferts hors de l'Union européenne

Les transferts de données hors de l'Union européenne sont indiqués, pour chaque sous-traitant ultérieur, au tableau de l'article 6 ; l'Éditeur n'en réalise aucun autre. L'hébergement, les sauvegardes et la lecture automatique des pièces restent dans l'Union européenne. Tout transfert nouveau suppose l'information préalable du Client (article 6) et l'un des fondements du chapitre V du RGPD (décision d'adéquation, art. 45 ; garanties appropriées telles que les clauses contractuelles types, art. 46).

12. Durée, conclusion et dispositions diverses

Le présent accord s'applique pendant toute la durée du contrat et, pour les obligations de l'article 10, jusqu'à leur terme. Il est conclu sous forme électronique (art. 28.9) : il est accepté avec les CGU, par la même case à cocher, et l'Éditeur conserve la date et la version acceptées (CGU, article 5). Il est modifié dans les conditions de l'article 17 des CGU.

Pour la protection des données traitées pour le compte du Client, il prévaut sur les CGU et sur le Contrat de service (CGU, article 20), sauf accord de sous-traitance distinct signé par les Parties. La responsabilité des Parties entre elles est régie par l'article 13 des CGU, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD. Le droit applicable et la juridiction compétente sont ceux de l'article 18 des CGU.